מידע על תוכן האבטחה של iOS 15.7.4 ושל iPadOS 15.7.4
מסמך זה מתאר את תוכן האבטחה של iOS 15.7.4 ושל iPadOS 15.7.4.
מידע על עדכוני האבטחה של Apple
מטעמי הגנה על לקוחותינו, Apple לא מפרסמת בעיות אבטחה, לא דנה בהן ולא מאשרת את קיומן עד שחקירה בנושא מתבצעת ויש גרסאות חדשות או תיקונים זמינים. הגרסאות העדכניות רשומות בדף עדכוני אבטחה של Apple.
מסמכי האבטחה של Apple מתייחסים לפגיעויות לפי CVE-ID, כאשר הדבר ניתן.
למידע נוסף אודות אבטחה, עיינו בדף אבטחת מוצרי Apple.
iOS 15.7.4 ו-iPadOS 15.7.4
הופץ ב-27 במרץ 2023
Accessibility
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עשוי להצליח להגיע למידע על אנשי הקשר של משתמש
תיאור: בעיית פרטיות טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.
CVE-2023-23541: סאבה פיצל (@theevilbit) מ-Offensive Security
Calendar
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: ייבוא הזמנה בלוח השנה שנוצרה באופן זדוני עלול לאפשר חילוץ פרטי משתמש
תיאור: מספר בעיות אימות טופלו באמצעות סניטציה משופרת של קלט.
CVE-2023-27961: Rıza Sabuncu (@rizasabuncu)
Camera
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום בארגז חול עלול להצליח לקבוע איזה יישום משתמש כעת במצלמה
תיאור: הבעיה טופלה באמצעות הגבלות נוספות בנוגע לנראות של מצבי יישומים.
CVE-2023-23543: Yiğit Can YILMAZ (@yilmazcanyigit)
CommCenter
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח להביא לסיום בלתי צפוי של המערכת או לכתוב זיכרון ליבה
תיאור: בעיית כתיבה מחוץ לטווח טופלה באמצעות אימות קלט משופר.
CVE-2023-27936: Tingting Yin מאוניברסיטת Tsinghua
Find My
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול לקרוא מידע רגיש אודות המיקום
תיאור: בעיית פרטיות טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.
CVE-2023-23537: Adam M.
הרשומה עודכנה ב-21 בדצמבר 2023
FontParser
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד של תמונה בעלת מבנה זדוני עלול לגרום לחשיפה של זיכרון התהליך
תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.
CVE-2023-27956: יה ז'אנג מ‑Baidu Security
FontParser
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד קובץ גופן עלול להוביל להפעלה של קוד שרירותי
תיאור: בעיית כתיבה מחוץ לטווח טופלה באמצעות אימות קלט משופר.
CVE-2023-32366: Ye Zhang (@VAR10CK) מ-Baidu Security
הרשומה נוספה ב‑21 בדצמבר 2023
Identity Services
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עשוי להצליח להגיע למידע על אנשי הקשר של משתמש
תיאור: בעיית פרטיות טופלה באמצעות צנזור משופר של נתונים פרטיים עבור רשומות יומן.
CVE-2023-27928: Csaba Fitzl (@theevilbit) מ-Offensive Security
ImageIO
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד של קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום או להפעלת קוד שרירותי
תיאור: קריאה מחוץ לטווח טופלה באמצעות בדיקת טווח משופרת.
CVE-2023-27946: Mickey Jin (@patch1t)
ImageIO
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד של תמונה בעלת מבנה זדוני עלול לגרום לחשיפה של זיכרון התהליך
תיאור: הבעיה טופלה באמצעות טיפול משופר בזיכרון.
CVE-2023-23535: ryuzaki
Kernel
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח לחשוף את זיכרון הליבה
תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.
CVE-2023-28200: Arsenii Kostromin (0x3c3e)
הרשומה נוספה ב-1 במאי 2023
Kernel
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח לחשוף את זיכרון הליבה
תיאור: בעיית אימות טופלה באמצעות סניטציה משופרת של קלט.
CVE-2023-27941: Arsenii Kostromin (0x3c3e)
Kernel
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית שימוש לאחר שחרור טופלה באמצעות שיפור ניהול הזיכרון.
CVE-2023-27969: Adam Doupé מ-ASU SEFCOM
Kernel
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: הבעיה טופלה באמצעות בדיקות טווח משופרות.
CVE-2023-23536: Félix Poulin-Bélanger ו-David Pan Ogea
הרשומה נוספה ב-1 במאי 2023, עודכנה ב-21 בדצמבר 2023
Kernel
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח לגרום למניעת שירות
תיאור: גלישה נומרית טופלה באמצעות אימות קלט משופר.
CVE-2023-28185: Pan ZhenPeng מ-STAR Labs SG Pte. Ltd.
הרשומה נוספה ב‑21 בדצמבר 2023
libpthread
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: יישום עלול להצליח להפעיל קוד שרירותי עם הרשאות ליבה
תיאור: בעיית בלבול בסוגים טופלה באמצעות בדיקות משופרות.
CVE-2023-41075: Zweig מ-Kunlun Lab
הרשומה נוספה ב‑21 בדצמבר 2023
Model I/O
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד של קובץ בעל מבנה זדוני עלול להוביל לסיום בלתי צפוי של פעולת יישום או להפעלת קוד שרירותי
תיאור: קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.
CVE-2023-27949: Mickey Jin (@patch1t)
Model I/O
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד של תמונה עלול לגרום לחשיפה של זיכרון תהליך
תיאור: קריאה מחוץ לטווח טופלה באמצעות אימות קלט משופר.
CVE-2023-27950: Mickey Jin (@patch1t)
הרשומה נוספה ב‑21 בדצמבר 2023
NetworkExtension
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: משתמש במיקום רשת מורשה עלול להצליח להתחזות לשרת VPN המוגדר עם אימות EAP בלבד במכשיר
תיאור: הבעיה טופלה באמצעות אימות משופר.
CVE-2023-28182: Zhuowei Zhang
Shortcuts
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: קיצור דרך עלול להצליח להשתמש בנתונים רגישים במהלך פעולות מסוימות בלי להציג בקשה למשתמש
תיאור: הבעיה טופלה באמצעות בדיקות נוספות של הרשאות.
CVE-2023-27963: Jubaer Alnazi Jabin מקבוצת החברות TRS ו-Wenchao Li ו-Xiaolong Bai מ-Alibaba Group
WebKit
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: ייתכן שאתר אינטרנט יוכל לעקוב אחר פרטי משתמש רגישים
תיאור: הבעיה טופלה על ידי הסרת פרטי המקור.
WebKit Bugzilla: 250837
CVE-2023-27954: חוקר אנונימי
WebKit
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד תוכן אינטרנט בעל מבנה זדוני עלול להוביל להפעלת קוד שרירותי. Apple מודעת לדיווח על כך שייתכן שבעיה זו נוצלה באופן פעיל.
תיאור: בעיית בלבול בסוגים טופלה באמצעות בדיקות משופרות.
WebKit Bugzilla: 251944
CVE-2023-23529: חוקר אנונימי
WebKit
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד תוכן אינטרנט עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית שימוש-לאחר-שחרור טופלה באמצעות ניהול זיכרון משופר.
WebKit Bugzilla: 250429
CVE-2023-28198: hazbinhotel בעבודה משותפת עם Trend Micro Zero Day Initiative
הרשומה נוספה ב‑21 בדצמבר 2023
WebKit PDF
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: עיבוד תוכן אינטרנט עלול להוביל להפעלת קוד שרירותי
תיאור: בעיית בלבול בסוגים טופלה באמצעות בדיקות משופרות.
WebKit Bugzilla: 249169
CVE-2023-32358: אנונימי בעבודה עם Trend Micro Zero Day Initiative
הרשומה נוספה ב‑21 בדצמבר 2023
WebKit Web Inspector
זמין עבור: iPhone 6s (כל הדגמים), iPhone 7 (כל הדגמים), iPhone SE (דור ראשון), iPad Air 2, iPad mini (דור רביעי) ו-iPod touch (דור שביעי)
השפעה: משתמש מרוחק עשוי לגרום לסיום בלתי צפוי של יישום או להפעלת קוד שרירותי
תיאור: בעיה זו טופלה באמצעות ניהול מצבים משופר.
CVE-2023-28201: דוהיון לי (@l33d0hyun), crixer (@pwning_me) מ-SSD Labs
הרשומה נוספה ב-1 במאי 2023
תודות נוספות
אנחנו מבקשים להודות על הסיוע לפביאן אייסינג מאוניברסיטת מינסטר FH למדע שימושי, לדמיאן פודבניאק מאוניברסיטת מינסטר FH למדע שימושי, לטוביאס קאפרט מאוניברסיטת מינסטר למדע שימושי, לכריסטוף סאטיוהאן מאוניברסיטת מינסטר למדע שימושי ולסבסטיאן שינצל מאוניברסיטת מינסטר למדע שימושי.
הרשומה עודכנה ב-1 במאי 2023
WebKit Web Inspector
אנחנו מבקשים להודות ל-Dohyun Lee (@l33d0hyun) ול-crixer (@pwning_me) מ-SSD Labs על הסיוע.
מידע על מוצרים שאינם מיוצרים על ידי Apple, או על אתרי אינטרנט עצמאיים שאינם נמצאים תחת פיקוח של Apple ולא נבדקו על ידה, מסופק ללא המלצה או הבעת תמיכה. Apple אינה אחראית לבחירה, לביצועים או לשימוש באתרי אינטרנט או במוצרים של צד שלישי. Apple לא מתחייבת לגבי מידת הדיוק או האמינות של אתרי אינטרנט של צד שלישי. פנו לספק לקבלת מידע נוסף.